Komputery kwantowe i bezpieczeństwo danych: jakie przepisy prawne mają zastosowanie?

Żadne holenderskie ani europejskie prawo nie reguluje komputerów kwantowych jako takich. Obowiązuje jedynie obowiązujące prawo dotyczące bezpieczeństwa informacji, które rodzi jedno konkretne pytanie: czy środki bezpieczeństwa stosowane obecnie będą nadal wystarczające, gdy zaszyfrowane dane będzie można później odszyfrować? Głównym wyjątkiem jest kontrola eksportu i kontrola inwestycji, które zawierają szczegółowe przepisy dotyczące technologii kwantowej.

Obowiązują już trzy obowiązki. Artykuł 32 ogólnego rozporządzenia o ochronie danych (RODO, w języku niderlandzkim AVG ) wymaga środków bezpieczeństwa uwzględniających najnowszy stan wiedzy. Jest to standard ruchomy, a nie stały, i obejmuje on również dane, które muszą pozostać poufne przez lata, takie jak dokumentacja medyczna, akta osobowe i archiwa sądowe. Holenderska ustawa o cyberbezpieczeństwie ( Cyberbeveiligingswet ), która wdraża unijną dyrektywę NIS2, wymaga od organizacji w wyznaczonych kluczowych i ważnych sektorach zarządzania ryzykiem dla swoich sieci i systemów informatycznych oraz nakłada na organ zarządzający odpowiedzialność za zatwierdzanie tych środków. W przypadku podmiotów finansowych ustawa o odporności operacyjnej cyfrowej (DORA, rozporządzenie (UE) 2022/2554) dodaje własne wymogi dotyczące kontroli kryptograficznych i ryzyka stron trzecich.

Praktyczne ryzyko nie polega na tym, że ktoś odszyfruje Twój ruch dzisiaj. Chodzi o to, że zaszyfrowane dane zostaną przechwycone i zapisane teraz, aby móc je odszyfrować, gdy tylko pojawi się taka możliwość. W przypadku danych o długim okresie poufności, migracja do kryptografii postkwantowej jest zadaniem bieżącym, a nie projektem na przyszłość. Międzynarodowe standardy dla tych algorytmów zostały opublikowane i są obecnie wdrażane.

Technologia kwantowa wiąże się również z kontrolą eksportu i kontrolą inwestycji. Niektóre produkty kwantowe są towarami podwójnego zastosowania zgodnie z europejskimi przepisami dotyczącymi kontroli eksportu, a inwestycje w holenderskie firmy działające w dziedzinie technologii kwantowej mogą podlegać kontroli bezpieczeństwa.

Dlaczego komputery kwantowe budzą wątpliwości prawne dotyczące bezpieczeństwa danych?

Ponieważ wystarczająco wydajny komputer kwantowy mógłby złamać szyfrowanie, na którym opiera się znaczna część dzisiejszej ochrony danych. Prawo nie wymienia komputerów kwantowych z nazwy, ale wymaga zabezpieczeń adekwatnych do ryzyka.

Ta sama moc stwarza problem bezpieczeństwa. Szyfrowanie kluczem publicznym, które chroni znaczną część naszej komunikacji cyfrowej, od bankowości internetowej po podpisy cyfrowe, opiera się na problemach matematycznych, których zwykłe komputery nie są w stanie rozwiązać w praktycznie żadnym czasie. Wystarczająco duży i stabilny komputer kwantowy mógłby rozwiązać niektóre z tych problemów. Nie wiadomo, kiedy taki komputer powstanie, ale rządy i służby bezpieczeństwa traktują to ryzyko poważnie.

Jakie jest główne wyzwanie prawne?

Wyzwaniem jest ochrona wrażliwych danych przed przyszłymi zagrożeniami za pomocą dostępnych obecnie narzędzi prawnych. Narzędzia te to otwarte standardy, takie jak „najnowocześniejsze” zabezpieczenia i „odpowiednie środki”.

Każde podejście prawne musi uwzględniać szereg kwestii:

• Ochrona istniejących danych: Atakujący mogą zbierać zaszyfrowane dane już dziś i przechowywać je do momentu, aż będą mogli je odszyfrować. Nazywa się to „zbierz teraz, odszyfruj później”.
• Nowe standardy: organizacje muszą przejść na kryptografię postkwantową (PQC) – nowe metody szyfrowania opracowane w celu przeciwdziałania atakom zarówno ze strony zwykłych komputerów, jak i komputerów kwantowych.
• Odpowiedzialność: Jeśli doszło do naruszenia bezpieczeństwa danych, ponieważ szyfrowanie było nieaktualne, pytanie brzmi, kto jest odpowiedzialny: organizacja, jej dostawca, a może obie strony.
• Innowacja: przepisy nie mogą niepotrzebnie utrudniać badań nad technologią kwantową ani jej wykorzystania.

W jaki sposób komputery kwantowe zagrażają współczesnemu szyfrowaniu?

Komputery kwantowe mogą skutecznie rozwiązywać problemy matematyczne, na których opiera się szyfrowanie z kluczem publicznym. Szyfrowanie symetryczne, takie jak AES z długimi kluczami, jest uważane za znacznie mniej podatne na ataki.

Dlaczego kryptografia klucza publicznego jest podatna na ataki?

Kryptografia klucza publicznego opiera się na problemach takich jak rozkład bardzo dużych liczb na czynniki pierwsze. Komputer kwantowy mógłby rozwiązać te problemy w praktyce.

System ten leży u podstaw bezpiecznych stron internetowych (HTTPS), połączeń VPN, szyfrowania poczty e-mail i podpisów cyfrowych. Jego siła tkwi w trudności rozwiązywania niektórych problemów matematycznych, takich jak rozkład bardzo dużych liczb na liczby pierwsze czy problem logarytmu dyskretnego. Dla zwykłego komputera rozwiązanie tych problemów dla używanych rozmiarów kluczy zajęłoby niepraktycznie dużo czasu.

Wystarczająco wydajny komputer kwantowy mógłby skutecznie rozwiązać te problemy. Szyfrowanie symetryczne, takie jak AES, jest mniej podatne na ataki: dłuższe klucze, takie jak AES-256, są generalnie uważane za wystarczające. Ramy prawne dotyczące bezpieczeństwa danych muszą zatem koncentrować się głównie na systemach klucza publicznego.

Czym jest algorytm Shora?

Algorytm Shora, opublikowany w 1994 roku, to algorytm kwantowy, który pozwala na efektywne rozkładanie dużych liczb. Na dużym, stabilnym komputerze kwantowym złamałby on najpopularniejsze systemy klucza publicznego, takie jak RSA i kryptografia krzywych eliptycznych.

Na czym polega zagrożenie typu „zbierz teraz, odszyfruj później”?

Atakujący mogą gromadzić zaszyfrowane dane już dziś i odszyfrowywać je później, gdy komputery kwantowe będą wystarczająco wydajne. Dane, które muszą pozostać poufne przez wiele lat, są zatem już zagrożone.

Dotyczy to przede wszystkim informacji, które muszą pozostać poufne przez długi czas, takich jak:

• Tajemnice państwowe i obronne z okresami poufności trwającymi dziesiątki lat.
• Własność intelektualna firm, takich jak tajemnice handlowe i dane badawcze.
• Wrażliwe dane osobowetakie jak dane medyczne i biometryczne.
• Dokumentacja finansowa i prawna które muszą być chronione ze względów prawnych i regulacyjnych.

Jak Holandia przygotowuje się na technologię kwantową?

Holandia inwestuje w technologię kwantową w ramach programu krajowego i opublikowała praktyczne wytyczne dotyczące przejścia na kryptografię postkwantową. W Holandii nie istnieją szczegółowe przepisy dotyczące komputerów kwantowych.

Krajowy program Quantum Delta NL zrzesza rząd, uniwersytety i firmy. Opiera się on na Narodowej Agendzie na rzecz Technologii Kwantowych z 2019 roku i jest finansowany między innymi z Narodowego Funduszu Wzrostu ( Nationaal Groeifonds ). Program obejmuje komputery kwantowe, sieci kwantowe i czujniki kwantowe, zwracając uwagę na społeczne i etyczne aspekty tej technologii. Są to decyzje polityczne, a nie przepisy prawa, które wiążą firmy.

Co robi się w dziedzinie kryptografii postkwantowej?

Rząd Holandii opublikował podręcznik migracji PQC, a organizacjom zaleca się rozpoczęcie przygotowań już teraz. Przejście na nową generację trwa latami, więc czekanie zwiększa ryzyko.

W 2023 roku General Intelligence and Security Service (AIVD), organizacja badawcza TNO oraz Centrum Wiskunde & Informatica (CWI) opublikowały podręcznik migracji PQC. Zawiera on praktyczne wskazówki dla organizacji, które pomogą im przygotować się do transformacji, począwszy od inwentaryzacji wykorzystywanej przez nie kryptografii.

Przesłanie jest takie, że przejście na PQC nie jest odległym, teoretycznym problemem, ale zadaniem, które organizacje muszą zaplanować już teraz, ponieważ zajmuje lata. Jest to zgodne z europejską dyrektywą NIS2, która wymaga wyższych standardów cyberbezpieczeństwa dla kluczowych i ważnych podmiotów i została wdrożona w Holandii ustawą o cyberbezpieczeństwie. Organizacje objęte tą ustawą muszą ocenić swoje ryzyko, w tym ryzyko dla swojej kryptografii.

Które europejskie przepisy kształtują bezpieczeństwo danych kwantowych?

RODO, dyrektywa NIS2, DORA i ustawa o cyberodporności – wszystkie te akty prawne wymagają zabezpieczeń dostosowanych do poziomu ryzyka i aktualnego stanu wiedzy. Wraz z unijnym planem działania w zakresie PQC, kierują one organizacje w stronę szyfrowania kwantowego.

Jak RODO stosuje się w świecie kwantowym?

RODO nie wspomina o komputerach kwantowych, ale są one neutralne technologicznie. Obowiązek podjęcia odpowiednich środków bezpieczeństwa, zgodnych z najnowszymi osiągnięciami techniki, obejmuje również ryzyko kwantowe.

Dwa przepisy są kluczowe. Artykuł 25 RODO wymaga ochrony danych w fazie projektowania i domyślnie : organizacje muszą od samego początku uwzględniać techniczne zabezpieczenia danych osobowych w nowych procesach. Artykuł 32 RODO wymaga odpowiednich środków technicznych i organizacyjnych, uwzględniających stan techniki, koszty i ryzyko. W miarę dojrzewania standardów postkwantowych, „stan techniki” będzie coraz częściej oznaczał stosowanie szyfrowania kwantowego w przypadku danych osobowych, które muszą pozostać poufne przez długi czas. Organizacja, która nie zaplanuje tej zmiany, naraża się na ryzyko, że jej bezpieczeństwo nie będzie już uznawane za odpowiednie. Więcej informacji na temat tych zasad można znaleźć w naszym przewodniku po ogólnym rozporządzeniu o ochronie danych (RODO).

Jeśli niewystarczające zabezpieczenia doprowadzą do naruszenia danych, organizacja może być zobowiązana zgłosić to holenderskiemu Urzędowi Ochrony Danych w ciągu 72 godzin (art. 33 RODO). Urząd może nałożyć grzywny w wysokości do 20 milionów euro lub 4% rocznego obrotu na świecie, a osoby poszkodowane mogą dochodzić odszkodowania na podstawie art. 82 RODO.

Które nowe przepisy UE nakazują organizacjom osiągnięcie gotowości kwantowej?

Dyrektywa NIS2, ustawa DORA i ustawa o odporności cybernetycznej nakładają szersze obowiązki w zakresie cyberbezpieczeństwa. Żadna z nich nie określa konkretnych algorytmów zapewniających bezpieczeństwo kwantowe, ale wszystkie wymagają bezpieczeństwa opartego na ryzyku, uwzględniającego najnowocześniejsze rozwiązania.

Oprócz RODO, trzy instrumenty UE wzmacniają obowiązki w zakresie cyberbezpieczeństwa, nie wymieniając przy tym standardów bezpieczeństwa kwantowego:

• Ustawa o odporności cybernetycznej (CRA, rozporządzenie (UE) 2024/2847): Niniejsze rozporządzenie określa wymogi dotyczące cyberbezpieczeństwa dla produktów z elementami cyfrowymi, takich jak urządzenia podłączone do sieci i oprogramowanie. Producenci muszą wbudowywać zabezpieczenia w swoje produkty i zapobiegać lukom w zabezpieczeniach. Obowiązki sprawozdawcze obowiązują od 11 września 2026 r., a większość pozostałych obowiązków od 11 grudnia 2027 r. CRA nie zaleca szyfrowania kwantowego, ale wymaga zabezpieczeń odpowiednich do ryzyka.
• Dyrektywa NIS2: Dyrektywa ta rozszerza obowiązki w zakresie cyberbezpieczeństwa na szeroki zakres kluczowych i ważnych podmiotów, takich jak energetyka, opieka zdrowotna i infrastruktura cyfrowa. Wymaga ona zarządzania ryzykiem, w tym polityk dotyczących kryptografii i szyfrowania (art. 21), oraz zgłaszania istotnych incydentów. W Holandii jest ona wdrażana przez ustawę o cyberbezpieczeństwie.
• DORA: od 17 stycznia 2025 r. podmioty finansowe muszą posiadać ramy zarządzania ryzykiem ICT obejmujące polityki dotyczące szyfrowania i kontroli kryptograficznych, a także muszą zarządzać ryzykiem swoich dostawców ICT.

Te przepisy wskazują jasny kierunek. Przejście na szyfrowanie kwantowe nie jest jeszcze wyraźnym wymogiem prawnym, ale dla organizacji, które przechowują poufne dane przez długi czas, coraz częściej wynika to z ogólnego obowiązku stosowania odpowiednich, najnowocześniejszych środków.

Jak wypadają obecne i oczekiwane standardy zgodności?

Tabela porównuje obecne podejście z tym, czego można się spodziewać po ustanowieniu standardów postkwantowych. Prawa kolumna opisuje przewidywane zmiany, a nie obowiązujące prawo.

Jakie jest europejskie podejście do kwestii bezpieczeństwa kwantowego?

UE koordynuje przejście na PQC na podstawie zalecenia Komisji z 11 kwietnia 2024 r. i planu działania z czerwca 2025 r. Plan działania ma na celu ochronę systemów wysokiego ryzyka najpóźniej do 2030 r.

Aby zapobiec fragmentacji podejścia, UE pracuje nad skoordynowanym procesem transformacji. 11 kwietnia 2024 r. Komisja Europejska przyjęła zalecenie w sprawie skoordynowanego planu działania dotyczącego przejścia na kryptografię postkwantową. Na tej podstawie państwa członkowskie, wspierane przez Komisję, opublikowały plan działania 23 czerwca 2025 r. Przewiduje on, że państwa członkowskie rozpoczną transformację do końca 2026 r., że systemy wysokiego ryzyka, takie jak infrastruktura krytyczna, zostaną objęte ochroną PQC najpóźniej do końca 2030 r., a do 2035 r. zostanie wdrożona jak największa liczba systemów, co będzie praktycznie możliwe.

Mapa drogowa jest zobowiązaniem politycznym, a nie wiążącym prawem. Pokazuje jednak, czego będą oczekiwać organy regulacyjne i nadzorcze, i prawdopodobnie wpłynie na sposób interpretacji otwartych standardów zawartych w RODO, NIS2 i DORA.

W lipcu 2025 roku Komisja przyjęła również Strategię Kwantową dla Europy, a jej program prac na rok 2026 zapowiada wniosek legislacyjny w sprawie Ustawy Kwantowej. W chwili pisania tego tekstu taki akt nie stanowi prawa UE; przed podjęciem decyzji należy sprawdzić aktualny stan prawny.

Jak przygotować się do przestrzegania wymogów bezpieczeństwa kwantowego?

Zacznij od inwentaryzacji swojej kryptografii, a następnie oceń, które dane i systemy są najbardziej narażone na ryzyko, i migruj etapami. Celem jest krypto-zwinność: możliwość szybkiej wymiany algorytmów.

Celem jest krypto-zwinność : możliwość szybkiej wymiany metod kryptograficznych w przypadku pojawienia się nowych zagrożeń lub standardów. Proces zaczyna się od jednego pytania: gdzie jesteś najbardziej narażony? Wykorzystaj jako ramy wymogi RODO oraz, w stosownych przypadkach, NIS2 i DORA.

Faza 1: jak wykonać inwentaryzację kryptograficzną?

Mapujesz całą kryptografię wykorzystywaną w Twojej organizacji, w tym w oprogramowaniu i urządzeniach od dostawców. Bez tego przeglądu nie da się ustalić priorytetów.

Spójrz poza swoje główne serwery. Inwentaryzacja powinna obejmować:

• Dane w tranzycie: w jaki sposób zabezpieczone są Twoje połączenia e-mail, VPN i chmura?
• Dane w spoczynku: jakie szyfrowanie chroni Twoje bazy danych, kopie zapasowe i laptopy?
• Systemy wbudowane: kryptografia w oprogramowaniu firm trzecich, urządzeniach podłączonych i sprzęcie sieciowym.
• Stare systemy: stare aplikacje często zawierają przestarzałe i podatne na ataki szyfrowanie.

Sprawdź również swoje umowy. Umowy z dostawcami IT i dostawcami usług w chmurze powinny zobowiązywać ich do udostępniania informacji o używanej kryptografii, wspierania aktualizacji i współpracy przy migracji. Zgodnie z art. 28 RODO, podmiot przetwarzający musi również zapewnić odpowiednie gwarancje bezpieczeństwa.

Faza 2: jak oceniasz ryzyko i ustalasz priorytety?

Oceń swoje systemy pod kątem wrażliwości danych i czasu, przez jaki muszą one pozostać poufne. Dane, które muszą być chronione przez ponad dziesięć lat, są najważniejsze.

Użyj tych pytań, aby ustalić priorytety:

1. Które dane muszą pozostać poufne przez ponad dziesięć lat? Pomyśl o własności intelektualnej, długoterminowych dokumentach finansowych i poufnych danych osobowych. To główny cel ataków typu „zbierz teraz, odszyfruj później”.
2. Które systemy są najbardziej narażone na zagrożenia zewnętrzne? Na pierwszej linii frontu znajdują się aplikacje publiczne i protokoły przesyłania danych.
3. Jakie są Twoje obowiązki prawne i umowne? Rozporządzenie RODO, przepisy sektorowe i umowy z klientami określają, jaki poziom bezpieczeństwa musisz zapewnić w przypadku niektórych danych i jak długo musisz je przechowywać.

Faza 3: jak przejść na kryptografię postkwantową?

Wymieniasz podatne algorytmy etapami, zaczynając od tych o najwyższym ryzyku, i starannie je testujesz. W miarę możliwości łącz metody klasyczne i postkwantowe podczas transformacji.

Mając jasno określone priorytety, można rozpocząć etapową migrację do kryptografii postkwantowej (PQC) . Nie jest to prosta wymiana. Wymaga planowania, testowania i starannego wdrożenia, aby nie zakłócić działalności biznesowej. Powszechnym podejściem podczas transformacji jest rozwiązanie hybrydowe, w którym metody klasyczne i postkwantowe są stosowane łącznie.

Udokumentuj swoje wybory, ocenę ryzyka i planowanie. Jeśli organ regulacyjny lub sąd zapyta później, czy Twoje zabezpieczenia były odpowiednie, ta dokumentacja będzie stanowić dowód.

Które kwestie prawne pozostają otwarte?

Oprócz szyfrowania, technologia kwantowa rodzi pytania dotyczące odpowiedzialności, własności intelektualnej, prywatności i kontroli eksportu. Na niektóre z nich można odpowiedzieć w ramach obowiązującego prawa; inne będą dostępne dla sądów i ustawodawców.

Jednym z głównych pytań jest odpowiedzialność. Jeśli firma padnie ofiarą naruszenia danych z powodu przestarzałego szyfrowania, kto ponosi odpowiedzialność? Zgodnie z prawem holenderskim odpowiedź zaczyna się od obowiązujących przepisów. Wobec osób, których dane zostały naruszone, organizacja ponosi odpowiedzialność na mocy RODO i może być zobowiązana do zapłaty odszkodowania (art. 82 RODO). Wobec klientów może ponosić odpowiedzialność za niewykonanie umowy (art. 6:74 holenderskiego kodeksu cywilnego). To, czy organizacja może dochodzić odszkodowania od dostawcy oprogramowania, który nie dostarczył aktualizacji zapewniających bezpieczeństwo kwantowe, zależy od umowy i od tego, czego można było rozsądnie oczekiwać w danym momencie. Sądy będą musiały ustalić, jak „nowoczesny stan techniki” zmienia się z czasem.

Do kogo należą wynalazki powstałe przy użyciu komputerów kwantowych?

Zgodnie z obowiązującym prawem patentowym, jedynie osoba fizyczna może zostać uznana za wynalazcę. Wynalazek opracowany za pomocą komputera kwantowego może zostać opatentowany, ale wynalazcą musi być człowiek.

Komputery kwantowe mogą pomóc w projektowaniu cząsteczek, materiałów i algorytmów, których obecnie nie da się zaprojektować. Rodzi to pytanie o to, kto jest właścicielem takich wynalazków. Izba Odwoławcza Europejskiego Urzędu Patentowego orzekła w 2021 r. (sygn. akt J 8/20), że wynalazca wymieniony we wniosku patentowym musi być osobą fizyczną, a nie maszyną. Wynalazki stworzone za pomocą narzędzi komputerowych nadal mogą być patentowane, a wynalazcą jest osoba, która kierowała pracami. Umowy powinny jasno określać, kto jest właścicielem wyników uzyskanych za pomocą usług obliczeń kwantowych, zwłaszcza gdy korzysta się z mocy obliczeniowej strony trzeciej.

Komputery kwantowe mogą również zwiększyć możliwości analizy dużych ilości danych. Zasady ograniczenia celu, minimalizacji danych i proporcjonalności określone w RODO mają pełne zastosowanie do takich analiz, a ocena skutków dla ochrony danych (art. 35 RODO) jest wymagana w przypadku, gdy przetwarzanie może powodować wysokie ryzyko dla osób fizycznych.

Jakie przepisy eksportowe i inwestycyjne mają zastosowanie do technologii kwantowej?

Niektóre towary kwantowe są towarami podwójnego zastosowania zgodnie z unijnymi przepisami dotyczącymi kontroli eksportu. Inwestycje w holenderskie firmy zajmujące się technologią kwantową mogą podlegać kontroli bezpieczeństwa zgodnie z ustawą Wet Vifo.

Technologia kwantowa jest strategicznie wrażliwa. Rozporządzenie UE w sprawie podwójnego zastosowania (Rozporządzenie (UE) 2021/821) oraz przepisy krajowe mogą wymagać licencji na eksport niektórych komputerów kwantowych, podzespołów oraz powiązanego oprogramowania i technologii. Listy te regularnie się zmieniają, dlatego przed eksportem lub udostępnieniem technologii podmiotom spoza UE należy sprawdzić aktualną wersję.

W Holandii ustawa o kontroli bezpieczeństwa inwestycji, fuzji i przejęć ( Wet veiligheidstoets investeringen, fusies en overnames , Wet Vifo) obowiązuje od 1 czerwca 2023 r. Przejęcia i niektóre inwestycje w spółki działające w obszarze technologii wrażliwych, które mogą obejmować produkty kwantowe na listach podwójnego zastosowania, muszą zostać zgłoszone do Biura Kontroli Inwestycji ( Bureau Toetsing Investeringen , BTI) i mogą nie zostać sfinalizowane przed zatwierdzeniem. Start-upy i inwestorzy w technologie kwantowe powinni zatem na wczesnym etapie sprawdzić, czy transakcja podlega obowiązkowi zgłoszenia.

Na co powinna zwrócić uwagę organizacja przechowująca poufne dane?

Zgodnie z artykułem 32 RODO oraz, tam gdzie ma to zastosowanie, Ustawą o cyberbezpieczeństwie, nadal odpowiadasz za bezpieczeństwo swoich danych, również wtedy, gdy dostawcy obsługują Twoje systemy. Sprawdź poniższe punkty:

• Zidentyfikuj dane, które muszą pozostać poufne przez ponad dziesięć lat, na przykład akta osobowe, dane medyczne i tajemnice handlowe.
• Sprawdź, czy Twoja organizacja podlega przepisom ustawy o cyberbezpieczeństwie lub ustawy DORA i czy organ zarządzający zatwierdził środki zarządzania ryzykiem.
• Zapytaj pisemnie swoich dostawców rozwiązań IT i chmury, jakiej kryptografii używają i kiedy będą obsługiwać metody postkwantowe.
• Sprawdź, czy umowy dotyczące przetwarzania danych zgodnie z artykułem 28 RODO nakładają na podmioty przetwarzające obowiązek aktualizacji zabezpieczeń zgodnie z najnowszymi standardami.
• Rejestruj inwentaryzację, ocenę ryzyka i planowanie migracji, dzięki czemu będziesz mógł przedstawić organowi regulacyjnemu lub sądowi swoje działania.

Na co powinieneś zwrócić uwagę jako dostawca oprogramowania i urządzeń?

Twoi klienci przekażą Ci swoje obowiązki związane z bezpieczeństwem na mocy umowy, a ustawa o odporności cybernetycznej dodaje bezpośrednie obowiązki dotyczące produktu od 11 września 2026 r. Sprawdź poniższe punkty:

• Sprawdź, czy Twoje produkty z elementami cyfrowymi podlegają przepisom CRA i jakie obowiązki zaczną obowiązywać od 11 września 2026 r. i 11 grudnia 2027 r.
• Przejrzyj klauzule dotyczące bezpieczeństwa, aktualizacji i odpowiedzialności zawarte w umowach z klientami oraz warunkach ogólnych.
• Określ okres wsparcia, w którym dostarczasz aktualizacje zabezpieczeń, w tym aktualizacje kryptograficzne.
• Sprawdź, czy Twój sprzęt, oprogramowanie lub technologia kwantowa wymagają licencji eksportowej zgodnie z Rozporządzeniem (UE) 2021/821.
• Sprawdź, czy inwestycja w Twoją firmę musi zostać zgłoszona do WIT zgodnie z procedurą Wet Vifo.

Co możemy dla Ciebie zrobić w zakresie bezpieczeństwa danych związanych z technologiami kwantowymi?

Nasi prawnicy specjalizujący się w prawie IT doradzają przedsiębiorstwom w kwestiach ochrony danych, obowiązków związanych z cyberbezpieczeństwem oraz umów z dostawcami usług IT:

• Oceniamy, czy Twoja organizacja podlega przepisom Ustawy o cyberbezpieczeństwie, DORA lub CRA i jakie są wobec Ciebie wymagania.
• Dokonujemy przeglądu i sporządzamy klauzule dotyczące bezpieczeństwa, aktualizacji i odpowiedzialności w umowach dotyczących IT, chmury i przetwarzania danych.
• Pomagamy udokumentować ocenę ryzyka i plan migracji, aby były zgodne z wymogami organów regulacyjnych.
• Doradzamy w zakresie zgłoszenia naruszenia danych osobowych do holenderskiego Urzędu Ochrony Danych Osobowych w terminie 72 godzin.
• Sprawdzamy, czy transakcja musi zostać zgłoszona zgodnie z Wet Vifo, czy eksport wymaga licencji.

Podsumowanie

• Żadne prawo nie reguluje zagadnień związanych z komputerami kwantowymi; RODO, Ustawa o cyberbezpieczeństwie (NIS2) i DORA wymagają zabezpieczeń dostosowanych do najnowocześniejszych technologii i uwzględniających ryzyko.
• Zasada „Zbierz teraz, odszyfruj później” oznacza, że ​​dane o długim okresie poufności są już zagrożone.
• Zgodnie z planem działania UE z czerwca 2025 r. najpóźniej do końca 2030 r. systemy wysokiego ryzyka będą wykorzystywać kryptografię postkwantową. Jest to zobowiązanie polityczne, a nie wiążące prawo.
• Zacznij od inwentaryzacji kryptograficznej, ustal priorytety według wrażliwości i okresu przechowywania, a następnie migruj etapami, mając na celu krypto-zwinność.
• Technologia kwantowa podlega również kontroli eksportu, a w przypadku inwestycji w spółki holenderskie, być może także kontroli w ramach Wet Vifo.

PYTANIA I ODPOWIEDZI